보안 게시판

Adobe Flash Player에 대한 보안 업데이트

릴리스 날짜: 2010년 6월 10일

최종 업데이트일: 2010년 6월 10일

취약점 식별자: APSB10-14

CVE 번호: CVE-2008-4546, CVE-2009-3793, CVE-2010-1297, CVE-2010-2160, CVE-2010-2161, CVE-2010-2162, CVE-2010-2163, CVE-2010-2164, CVE-2010-2165, CVE-2010-2166, CVE-2010-2167, CVE-2010-2169, CVE-2010-2170, CVE-2010-2171, CVE-2010-2172, CVE-2010-2173, CVE-2010-2174, CVE-2010-2175, CVE-2010-2176, CVE-2010-2177, CVE-2010-2178, CVE-2010-2179, CVE-2010-2180, CVE-2010-2181, CVE-2010-2182, CVE-2010-2183, CVE-2010-2184, CVE-2010-2185, CVE-2010-2186, CVE-2010-2187, CVE-2010-2188, CVE-2010-2189

플랫폼: 모든 플랫폼

요약

Adobe Flash Player 버전 10.0.45.2 및 이전 버전에서 위험 수준의 취약점이 발견되었습니다. 이러한 취약점으로 인해 애플리케이션이 충돌할 수 있으며 침입자가 해당 시스템을 제어할 수 있습니다.

Adobe에서는 Adobe Flash Player 10.0.45.2 및 이전 버전의 사용자가 Adobe Flash Player 10.1.53.64로 업데이트하고 Adobe AIR 1.5.3.9130 및 이전 버전의 사용자가 Adobe AIR 2.0.2.12610으로 업데이트할 것을 권장합니다.

해당되는 소프트웨어 버전

Windows, Macintosh, Linux, Solaris용 Adobe Flash Player 10.0.45.2 및 이전 버전
Windows, Macintosh, Linux용 Adobe AIR 1.5.3.9130 및 이전 버전

시스템에 설치되어 있는 Adobe Flash Player 버전 번호를 확인하려면 Flash Player 정보 페이지에 액세스하거나 Flash Player에서 실행되는 컨텐츠를 마우스 오른쪽 버튼으로 클릭한 다음 메뉴에서 "Adobe(또는 Macromedia) Flash Player 정보"를 선택하십시오. 여러 개의 브라우저를 사용하고 있는 경우 각 브라우저별로 Flash Player 버전 번호를 확인한 후 설치하십시오.

시스템에 설치되어 있는 Adobe AIR 버전 번호를 확인하려면 Adobe AIR 기술 정보에서 지침을 참조하십시오.

해결 방법

Adobe Flash Player
Adobe에서는 Adobe Flash Player 10.0.45.2 및 이전 버전의 모든 사용자가 Adobe Flash Player 다운로드 센터에서 최신 버전을 다운로드하거나 제품 내에서 자동으로 업데이트할지 여부를 묻는 메시지가 나타날 때 이 자동 업데이트 메커니즘을 사용하여 최신 버전인 10.1.53.64로 업그레이드할 것을 권장합니다.

이 보안 게시판에 설명된 취약점을 해결하기 위해 Solaris 플랫폼용 Flash Player 10.1*의 프리릴리스 버전을 Adobe Labs에서 이용할 수 있습니다.

Flash Player 10.1.53.64로 업데이트할 수 없는 사용자를 위해 Adobe는 다음 링크*에서 다운로드할 수 있는 Flash Player 9 패치 버전인 Flash Player 9.0.277.0을 개발했습니다.

Adobe AIR
Adobe에서는 Adobe AIR 1.5.3.9130 및 이전 버전의 모든 사용자가 Adobe AIR 다운로드 센터에서 최신 버전인 2.0.2.12610을 다운로드하여 업데이트할 것을 권장합니다.

심각도 등급

Adobe는 이 문제를 위험 수준의 업데이트로 분류하고 해당 사용자가 최신 버전으로 업데이트할 것을 권장합니다.

자세한 내용

이 업데이트는 코드를 실행할 수 있는 메모리 손상 취약점을 해결합니다(CVE-2010-1297).
참고: 이 문제가 악용되고 있다는 보고가 있습니다.

이 업데이트는 코드를 실행할 수 있는 메모리 소모 취약점을 해결합니다(CVE-2009-3793).

이 업데이트는 코드를 실행할 수 있는 메모리 손상 취약점을 해결합니다(CVE-2010-2160).

이 업데이트는 코드를 실행할 수 있는 인덱싱 취약점을 해결합니다(CVE-2010-2161).

이 업데이트는 코드를 실행할 수 있는 힙 손상 취약점을 해결합니다(CVE-2010-2162).

이 업데이트는 코드를 실행할 수 있는 여러 취약점을 해결합니다(CVE-2010-2163).

이 업데이트는 코드를 실행할 수 있는 use after free 취약점을 해결합니다(CVE-2010-2164).

이 업데이트는 코드를 실행할 수 있는 메모리 손상 취약점을 해결합니다(CVE-2010-2165).

이 업데이트는 코드를 실행할 수 있는 메모리 손상 취약점을 해결합니다(CVE-2010-2166).

이 업데이트는 코드를 실행할 수 있는 다중 힙 오버플로우 취약점을 해결합니다(CVE-2010-2167).

이 업데이트는 코드를 실행할 수 있는 포인터 메모리 손상을 해결합니다(CVE-2010-2169).

이 업데이트는 코드를 실행할 수 있는 정수 오버플로우 취약점을 해결합니다(CVE-2010-2170).

이 업데이트는 코드를 실행할 수 있는 메모리 손상 취약점을 해결합니다(CVE-2010-2171).

이 업데이트는 일부 UNIX 플랫폼에서 서비스 거부(DoS) 문제를 해결합니다(Flash Player 9만 해당)(CVE-2010-2172).

이 업데이트는 코드를 실행할 수 있는 잘못된 포인터 취약점을 해결합니다(CVE-2010-2173).

이 업데이트는 코드를 실행할 수 있는 잘못된 포인터 취약점을 해결합니다(CVE-2010-2174).

이 업데이트는 코드를 실행할 수 있는 메모리 손상 취약점을 해결합니다(CVE-2010-2175).

이 업데이트는 코드를 실행할 수 있는 메모리 손상 취약점을 해결합니다(CVE-2010-2176).

이 업데이트는 코드를 실행할 수 있는 메모리 손상 취약점을 해결합니다(CVE-2010-2177).

이 업데이트는 코드를 실행할 수 있는 메모리 손상 취약점을 해결합니다(CVE-2010-2178).

이 업데이트는 크로스 사이트 스크립팅을 야기할 수 있는 URL 구문 분석 취약점을 해결합니다(Firefox 및 Chrome 브라우저만 해당)(CVE-2010-2179).

이 업데이트는 코드를 실행할 수 있는 메모리 손상 취약점을 해결합니다(CVE-2010-2180).

이 업데이트는 코드를 실행할 수 있는 정수 오버플로우 취약점을 해결합니다(CVE-2010-2181).

이 업데이트는 코드를 실행할 수 있는 메모리 손상 취약점을 해결합니다(CVE-2010-2182).

이 업데이트는 코드를 실행할 수 있는 정수 오버플로우 취약점을 해결합니다(CVE-2010-2183).

이 업데이트는 코드를 실행할 수 있는 메모리 손상 취약점을 해결합니다(CVE-2010-2184).

이 업데이트는 코드를 실행할 수 있는 버퍼 오버플로우 취약점을 해결합니다(CVE-2010-2185).

이 업데이트는 애플리케이션 충돌을 야기할 수 있는 서비스 거부(DoS) 취약점을 해결합니다. 임의의 코드 실행이 입증되지 않았지만 가능성이 있습니다 (CVE-2010-2186).

이 업데이트는 코드를 실행할 수 있는 메모리 손상 취약점을 해결합니다(CVE-2010-2187).

이 업데이트는 코드를 실행할 수 있는 메모리 손상 취약점을 해결합니다(CVE-2010-2188).

이 업데이트는 코드를 실행할 수 있는 메모리 손상 취약점을 해결합니다(CVE-2010-2189).
참고: 이 문제는 VMWare Tools를 사용하는 VMWare 시스템에서만 발생합니다.

이 업데이트는 서비스 거부(DoS) 문제를 해결합니다(CVE-2008-4546).

해당되는 소프트웨어	권장되는 플레이어 업데이트	사용 가능성
Flash Player 10.0.45.2 및 이전 버전	10.1.53.64	Flash Player 다운로드 센터
Flash Player 10.0.45.2 및 이전 버전 - 네트워크 배포	10.1.53.64	Flash Player 라이선스
AIR 1.5.3.9130	AIR 2.0.2.12610	AIR 다운로드 센터
Flash Professional CS5, Flash CS4 Professional 및 Flex 4	10.1.53.64	Flash Player 지원 센터*
Flash CS3 Professional 및 Flex 3	9.0.277.0	Flash Player 지원 센터*

참고: Adobe Flash Player 10.1.53.64 릴리스는 Macintosh PowerPC 기반 G3 컴퓨터를 지원하는 마지막 버전이 될 것입니다. Adobe는 PowerPC 기반 G3 컴퓨터에 대한 지원을 중단할 예정이며 Flash Player 10.1.53.64 릴리스 이후 더 이상 보안 업데이트를 제공하지 않을 것입니다. 이러한 제공 중단 결정은 기존 PowerPC 아키텍처에서 지원할 수 없는 성능 향상에 따른 것입니다.

감사의 말

Adobe는 관련 문제를 보고하여 Adobe 고객의 보안 유지에 도움을 주신 다음 분들께 감사의 말씀을 전합니다.

CERT*의 Will Dormann(CVE-2010-1297, CVE-2010-2163)
DSIE(Defense Security Information Exchange) 멤버인 Lockheed Martin CIRT*(CVE-2010-1297)
Innaworks Development Limited*의 Ralph Loader(CVE-2009-3793)
TippingPoint의 Zero Day Initiative*를 통해 보고해 주신 익명의 연구원 및 Dionysus Blazakis(CVE-2010-2160)
iDefense의 Vulnerability Contributor Program*을 통해 보고해 주신 익명의 연구원(CVE-2010-2161)
TippingPoint의 Zero Day Initiative*를 통해 보고해 주신 Damian Put(CVE-2010-2162, CVE-2010-2188)
iDefense의 Vulnerability Contributor Program*을 통해 보고해 주신 익명의 연구원(CVE-2010-2164)
Palo Alto Networks Inc.*의 Megumi Yanagishita(CVE-2010-2165)
Fortinet의 FortiGuard Labs*의 Bing Liu(CVE-2010-2163, CVE-2010-2166)
VUPEN Vulnerability Research Team*의 Nicolas Joly(CVE-2010-2167, CVE-2010-2173, CVE-2010-2174)
Manuel Caballero*와 Microsoft Vulnerability Research(MSVR)*(CVE-2010-2169)
ICST-ERCIS(Engineering Research Center of Info Security, Institute of Computer Science & Technology, Peking University/중국)의 Tielei Wang(CVE-2010-2170)
TippingPoint의 Zero Day Initiative*를 통해 보고해 주신 Peking University ICST-ERCIS의 Tielei Wang과 익명의 연구원(CVE-2010-2171)
Red Hat Security Response Team*에서 제출한 보고서(CVE-2010-2172)
Palo Alto Networks*의 Bo Qu(CVE-2010-2175, CVE-2010-2176, CVE-2010-2177, CVE-2010-2178)
Ezio Anselmo Mazarim Fernandes(CVE-2010-2179)
Fortinet의 FortiGuard Labs*의 Haifei Li(CVE-2010-2189)
Google Security Team*의 Tavis Ormandy(CVE-2010-2163, CVE-2010-2180, CVE-2010-2181, CVE-2010-2182, CVE-2010-2183, CVE-2010-2184, CVE-2010-2185, CVE-2010-2186, CVE-2010-2187)

수정

2010년 6월 10일 - 감사의 말 섹션에 Lockheed Martin CIRT 및 Defense Security Information Exchange 멤버 추가
2010년 6월 10일 - 게시판 공개